Kebijakan Privasi

Alvoru sangat mementingkan perlindungan data pribadi. Kebijakan privasi ini disusun sesuai dengan General Data Protection Regulation (Peraturan (EU) 2016/679, selanjutnya: GDPR) dan Undang-Undang Pelaksanaan GDPR, serta menjelaskan bagaimana Alvoru mengumpulkan, memproses, mengamankan, dan menghapus data pribadi.

1. Pengendali data

Pengendali data dalam arti pasal 4 ayat 7 GDPR adalah:

Narahubung untuk urusan privasi: Yousri melalui info@alvoru.com. Alvoru berdasarkan GDPR tidak diwajibkan menunjuk seorang Petugas Perlindungan Data (DPO).

2. Data pribadi apa yang kami proses?

Alvoru hanya memproses data pribadi yang diperlukan untuk menyediakan layanan kami. Tergantung layanannya, hal ini dapat mencakup:

• Data kontak dan perusahaan: nama, nama perusahaan, alamat email, nomor telepon, alamat, nomor KVK, dan data jabatan.
• Data akun: data login, hash kata sandi, cookie sesi, preferensi.
• Isi percakapan: pesan dan percakapan antara pengguna akhir dan saluran AI kami (chatbot dan email).
• Data pemesanan dan agenda: nama, data kontak, waktu, dan topik janji temu.
• Data teknis: alamat IP, browser dan sistem operasi, stempel waktu, perilaku halaman.
• Data cookie: lihat bagian 10.
• Data pembayaran: data faktur dan riwayat pembayaran; data kartu kredit dan IBAN tidak disimpan oleh Alvoru melainkan hanya diproses oleh pemroses pembayaran Mollie.

3. Tujuan dan dasar hukum (pasal 6 GDPR)

Untuk pemrosesan berdasarkan kepentingan sah (pasal 6 ayat 1 huruf f GDPR), Alvoru telah melakukan penilaian kepentingan sah (LIA). Khusus untuk keamanan, deteksi penipuan, dan pencegahan penyalahgunaan: Alvoru memiliki kepentingan sah untuk melindungi sistem dan data pelanggannya. Kepentingan Anda tidak lebih diutamakan daripada kepentingan sah ini, karena pemrosesan terbatas pada data teknis (alamat IP, stempel waktu), benar-benar diperlukan untuk perlindungan semua pengguna, dan Anda diberi tahu tentang hal ini melalui kebijakan privasi ini.

4. Jangka waktu penyimpanan

Alvoru menyimpan data pribadi tidak lebih lama dari yang diperlukan untuk tujuan pengumpulannya:

• Data pelanggan (aktif): selama masa berlaku Perjanjian dan hingga 60 hari setelah pengakhiran (lihat Syarat dan Ketentuan pasal 11).
• Faktur dan administrasi keuangan: 7 tahun, sesuai pasal 52 AWR (kewajiban penyimpanan pajak).
• Log percakapan AI: 12 bulan, kecuali Klien menyetujui jangka waktu yang lebih pendek secara tertulis.
• Opt-in pemasaran: hingga penarikan persetujuan.
• Data prospek (non-pelanggan): maksimal 12 bulan.
• Berkas log teknis dan log keamanan: maksimal 12 bulan.
• Cadangan: maksimal 90 hari.

5. Berbagi dengan pihak ketiga dan pengiriman data

Alvoru hanya berbagi data pribadi dengan sub-pemroses yang benar-benar diperlukan untuk penyediaan layanan. Dengan setiap sub-pemroses telah dibuat perjanjian pemrosesan data sesuai pasal 28 GDPR.

Pengiriman data ke negara di luar EEA hanya dilakukan berdasarkan keputusan kecukupan yang sah, sertifikasi DPF, atau Klausul Kontrak Standar UE, dilengkapi dengan langkah teknis dan organisasi tambahan jika diperlukan.

6. Hak subjek data

Berdasarkan GDPR, Anda memiliki hak-hak berikut:

• Akses (pasal 15) — mengetahui data mana yang kami proses tentang Anda.
• Rektifikasi dan koreksi (pasal 16) — Anda berhak meminta koreksi data pribadi yang tidak benar atau tidak lengkap. Anda dapat mengajukan permintaan koreksi melalui info@alvoru.com dengan uraian tentang data mana yang tidak benar dan apa data yang benar. Alvoru memproses permintaan Anda dalam satu bulan dan mengonfirmasi koreksi yang dilakukan secara tertulis melalui email.
• Penghapusan (pasal 17, "hak untuk dilupakan").
• Pembatasan pemrosesan (pasal 18).
• Portabilitas (pasal 20) — menerima data Anda dalam format yang dapat dibaca mesin.
• Keberatan (pasal 21) — terhadap pemrosesan berdasarkan kepentingan sah atau pemasaran langsung.
• Penarikan persetujuan (pasal 7 ayat 3) — untuk pemrosesan berdasarkan persetujuan, tanpa memengaruhi keabsahan sebelumnya.
• Intervensi manusia (pasal 22) pada pengambilan keputusan otomatis (lihat bagian 7).

Anda dapat mengajukan permintaan melalui info@alvoru.com. Alvoru menanggapi dalam satu bulan, sesuai pasal 12 ayat 3 GDPR. Untuk memverifikasi identitas Anda, Alvoru dapat meminta informasi tambahan.

Jika Anda menganggap bahwa Alvoru melanggar GDPR, Anda berhak mengajukan keluhan kepada Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).

7. Pengambilan keputusan otomatis dan AI

Chatbot AI dan otomatisasi email Alvoru memproses pesan secara otomatis dan dapat menghasilkan jawaban secara mandiri. Pada pemesanan dan reservasi otomatis, hal ini dapat menghasilkan keputusan dengan akibat hukum bagi pengguna akhir dalam arti pasal 22 GDPR.

Pengguna akhir berdasarkan pasal 22 ayat 3 GDPR berhak untuk:

• memperoleh intervensi manusia;
• menyampaikan sudut pandang mereka;
• menggugat keputusan tersebut.

Hak ini dapat dilaksanakan dengan menghubungi perusahaan yang menggunakan Layanan Alvoru, atau dengan Alvoru sendiri melalui info@alvoru.com.

Penghapusan percakapan chat (pasal 17): Pengunjung yang telah melakukan percakapan melalui chatbot AI di situs web yang dikelola oleh Alvoru dapat meminta penghapusan riwayat chat mereka dengan mengirim email ke info@alvoru.com dengan menyebutkan: situs web tempat percakapan berlangsung, tanggal (perkiraan) dan deskripsi percakapan. Alvoru memproses permintaan dalam waktu 30 hari. Data chat yang lebih tua dari 90 hari akan otomatis dianonimkan.

Sesuai pasal 50 dari Peraturan AI Uni Eropa (2024/1689) sistem AI kami memberi tahu pengguna akhir dengan jelas bahwa mereka berkomunikasi dengan sebuah sistem AI.

7a. Pengunjung chatbot dari situs web pelanggan

Pelanggan kami menerapkan chatbot AI Alvoru di situs web mereka sendiri. Sebagai pengunjung situs web pelanggan tersebut, percakapan chat Anda diproses oleh Alvoru sebagai sub-pemroses. Dalam hal ini, pelanggan adalah pengendali data dalam arti GDPR. Alvoru memproses data chat Anda semata-mata atas instruksi dan untuk kepentingan pelanggan yang bersangkutan. Lihat kebijakan privasi situs web tempat Anda menggunakan chatbot untuk informasi lebih lanjut tentang cara pelanggan tersebut memproses data Anda.

8. Keamanan

Alvoru mengambil langkah teknis dan organisatoris yang sesuai untuk melindungi data pribadi dari kehilangan atau segala bentuk pemrosesan yang melanggar hukum (pasal 32 GDPR), antara lain:

• Enkripsi TLS 1.2+ untuk semua komunikasi (HTTPS).
• Salted password hashing (bcrypt) dan pengelolaan sesi dengan rotasi.
• Firewall dan fail2ban di semua server.
• Rate-limiting pada API dan upaya login.
• Hak akses minimal (prinsip least privilege) untuk pengguna layanan.
• Hak akses file yang restriktif (600) pada file konfigurasi dan data.
• Backup harian otomatis dengan enkripsi.
• Logging dan monitoring akses ke data sensitif.
• Autentikasi dua faktor untuk akses administratif.
• Pembaruan keamanan dalam 72 jam setelah pengungkapan kerentanan kritis.

9. Kebocoran data

Sebuah kebocoran data dilaporkan kepada Autoriteit Persoonsgegevens dalam 72 jam setelah diketahui, sesuai pasal 33 GDPR, kecuali jika kebocoran tersebut kemungkinan tidak menimbulkan risiko terhadap hak dan kebebasan orang perorangan.

Jika kebocoran data menimbulkan risiko tinggi bagi pihak yang bersangkutan, Alvoru memberi tahu pihak yang bersangkutan tanpa penundaan, sesuai pasal 34 GDPR, sehingga mereka dapat mengambil langkah yang sesuai.

Alvoru menyimpan register kebocoran data sesuai pasal 33 ayat 5 GDPR.

10. Cookie

Alvoru menggunakan cookie dan teknik serupa berdasarkan pasal 11.7a Undang-Undang Telekomunikasi:

• Cookie fungsional (selalu aktif, tidak memerlukan persetujuan): sesi, preferensi, keamanan CSRF, perlindungan DDoS (Cloudflare).
• Cookie analitik dan marketing: Alvoru saat ini menempatkan tidak ada cookie analitik atau marketing. Tidak ada Google Analytics, Meta Pixel atau tracker serupa yang berjalan di alvoru.com. Banner cookie tersedia agar kami, jika di masa depan ingin menerapkan analitik, terlebih dahulu meminta opt-in eksplisit Anda.

Anda dapat mengubah preferensi cookie melalui tautan di bagian bawah setiap halaman atau banner cookie. Untuk gambaran lengkap lihat Pernyataan cookie.

10a. Apakah pemberian data wajib?

Anda tidak diwajibkan secara hukum atau kontraktual untuk memberikan data pribadi kepada kami, kecuali dinyatakan lain. Jika Anda tidak memberikan data, kami mungkin tidak dapat memberikan layanan kepada Anda. Misalnya, pemberian alamat email diperlukan untuk membuat akun dan menerima pesan layanan, tetapi pemberian nomor telepon umumnya opsional.

11. Perubahan

Alvoru dapat mengubah kebijakan privasi ini dari waktu ke waktu. Perubahan materiil diumumkan minimal 30 hari sebelum berlaku melalui email kepada pelanggan yang ada dan di halaman ini. Versi paling terbaru selalu tersedia di alvoru.com/privacy.